Zum Hauptinhalt wechseln
Dokumentation
Dokumentation
Administrator Guide
Zuletzt aktualisiert: 2025-04-18
Referenz: Mandanten-Setup bearbeiten – Sicherheit

Referenz: Mandanten-Setup bearbeiten – Sicherheit

Sicherheits-E-Mail-Einstellungen

Option
Beschreibung
Weitere Informationen
Sicherheits-E-Mails aktivieren
Erforderlich zum Senden:
  • E-Mails zum Zurücksetzen des Passworts.
  • E-Mails von vertrauenswürdigen Geräten.
  • Benachrichtigungen zum Ablauf von X.509- und PGP-Zertifikaten.
Aktiviert die Aufgabe
„Workday-Konto –
Kennwort-Sicherheitsfragen verwalten (Nicht verwenden)“
 im zugehörigen Aktionsmenü jedes Mitarbeiters.
Workday plant, Sicherheitsfragen in einer zukünftigen Version abzuschaffen.
Wenn aktiviert:
  • Nur an geschäftliche E-Mail-Adresse senden
    : Alle von Workday generierten E-Mails werden nur an die geschäftliche E-Mail-Adresse gesendet, die in jedem Konto aufgeführt ist.
  • An die geschäftliche E-Mail-Adresse senden, andernfalls an die private E-Mail-Adresse
    : Wenn für den Mitarbeiter keine geschäftliche E-Mail-Adresse hinterlegt ist, sendet Workday die E-Mail an die private E-Mail-Adresse.
  • An private E-Mail-Adresse senden, sonst an geschäftliche E-Mail-Adresse
    : Wenn für den Mitarbeiter keine private E-Mail-Adresse hinterlegt ist, sendet Workday die E-Mail an die geschäftliche E-Mail-Adresse.
Wenn nicht aktiviert:
  • Benutzer können ihr Passwort nur online zurücksetzen.
  • Workday benachrichtigt Sie nicht über abgelaufene X.509- und PGP-Zertifikate für Ihren Mandanten. Solche abgelaufenen Zertifikate können eine erfolgreiche Anmeldung bei Workday verhindern.
E-Mails zum Zurücksetzen des Passworts werden in folgenden Fällen versendet:
  • Benutzer setzen ihre Passwörter zurück. Workday sendet per E-Mail einen einmaligen Link zum Zurücksetzen.
  • Sie leiten eine Kennwortzurücksetzung mithilfe eines Geschäftsprozesses ein. Workday sendet ein temporäres Passwort per E-Mail.
  • Sie initiieren eine Kennwortzurücksetzung mithilfe der Option
    „Zufälliges Kennwort generieren“
     in der Aufgabe
    „Workday-Konten bearbeiten“
     . Workday sendet Ihnen per E-Mail ein temporäres Kennwort, außer wenn Sie ein neues Kennwort festlegen und bestätigen.
Umgehung der Anmeldeumleitung für neue Konten
Enthält eine URL in neuen Workday-Konto-E-Mails, die Benutzern Folgendes ermöglicht:
  • Melden Sie sich mit Ihrem Benutzernamen und Passwort bei Workday an.
  • Sie werden nicht zu Ihrer SSO-
    Anmeldeumleitungs-URL
    umgeleitet.
Beispiel: Ermöglichen Sie Benutzern von Personalvermittlungsagenturen mit neuen Workday-Konten, sich beim ersten Mal mit ihrem Benutzernamen und Kennwort bei Workday anzumelden.
Workday sendet Neueinstellungen und Wiedereinstellungen E-Mails zum neuen Workday-Konto mit der Anmelde-Weiterleitungs-URL.
Temporäres Passwort per E-Mail an neue Konten senden
Generiert automatisch temporäre Passwörter und sendet das Passwort per E-Mail an den neuen Mitarbeiter, anstatt von neuen Mitarbeitern zu verlangen, dass sie ihr temporäres Passwort von ihrem Workday-Administrator erhalten.
Zurücksetzen vergessener Passwörter aktivieren
Ermöglicht Benutzern, ihr Kennwort über den Link
„Kennwort vergessen“
 auf der Anmeldeseite von Workday zurückzusetzen. Die Einschränkung
„Alle E-Mails deaktivieren“
 bei der Aufgabe
„Mandanten-Setup bearbeiten – Benachrichtigungen
 “ überschreibt diese Option und unterdrückt den Link
„Passwort vergessen“
 .
Wenn aktiviert:
  • Beim Online-Zurücksetzen des Passworts
     müssen Benutzer drei Sicherheitsfragen beantworten, bevor sie ein neues Passwort eingeben und sich bei Workday anmelden können.
    Workday plant, Sicherheitsfragen in einer zukünftigen Version abzuschaffen.
  • Für den Einmal-Link
     müssen Benutzer ihren Benutzernamen und ihre geschäftliche oder private E-Mail-Adresse eingeben. Workday sendet per E-Mail einen Einmallink, auf den die Nutzer klicken können, um ihr Passwort online zurückzusetzen.
    Workday muss die von ihnen eingegebene E-Mail-Adresse in die Kontaktinformationen ihres Profils in Workday aufnehmen. Die Adresse unterliegt der Einstellung
    „Sicherheits-E-Mails aktivieren“
     . Beispiel: Benutzer müssen ihre geschäftliche E-Mail-Adresse eingeben, wenn Sie unter
    „Sicherheits-E-Mails aktivieren“
    die Option „Nur an geschäftliche E-Mail-Adresse senden“
     ausgewählt haben.
Link zum Ändern des Passworts aktivieren
Zeigt auf der Workday-Anmeldeseite einen Link zur Aufgabe
„Kennwort ändern“
 an.
E-Mail-Benachrichtigung bei Kontosperrung aktivieren
Sendet eine Benachrichtigung an die primäre E-Mail-Adresse des Benutzers, wenn dieser das nächste Mal versucht, sich anzumelden, nachdem Workday sein Konto gesperrt hat:
  • Wenn ein Administrator das Konto manuell sperrt, wird der Benutzer in der E-Mail angewiesen, sich an einen Administrator zu wenden. Wenn das Konto gesperrt bleibt, sendet Workday alle 30 Minuten eine Benachrichtigung über nachfolgende Anmeldeversuche.
    Beispiel: Ein Administrator sperrt einen Benutzer manuell um 9:00 Uhr. Wenn der Benutzer um 9:01 Uhr versucht, sich anzumelden, sendet Workday eine E-Mail. Wenn das Konto des Benutzers gesperrt bleibt und er versucht, sich erneut anzumelden, hier:
    • 9:15 Uhr, Workday sendet keine E-Mail.
    • 9:20 Uhr, Workday sendet keine E-Mail.
    • 9:31 Uhr, Workday sendet eine weitere E-Mail.
  • Wenn Workday das Konto aufgrund zu vieler fehlgeschlagener Anmeldeversuche sperrt, wird der Benutzer in der E-Mail aufgefordert, sich später anzumelden. Sie können in der Aufgabe
    „Kennwortregeln verwalten“
     angeben, wann sich Benutzer erneut anmelden können.
    Beispiel: Ein Benutzer überschreitet die maximale Anzahl erfolgloser Anmeldeversuche und Workday sperrt sein Konto um 9:00 Uhr. Wenn sie um 9:01 Uhr erneut versuchen, sich anzumelden, sendet Workday eine E-Mail über eine 10-minütige Sperrfrist. Wenn der Benutzer um 9:11 Uhr einen weiteren erfolglosen Anmeldeversuch unternimmt, sendet Workday eine weitere E-Mail. Wenn sich der Benutzer um 9:11 Uhr erfolgreich anmeldet, sendet Workday keine weitere E-Mail.
Aktivieren Sie das Kontrollkästchen
„Sicherheits-E-Mails aktivieren“,
 damit Benutzer diese Benachrichtigungen erhalten.

WebAuthn (FIDO2)

Option
Beschreibung
Weitere Informationen
Webauthentifizierung aktivieren
Ermöglicht Ihnen, die Webauthentifizierung als zulässigen Authentifizierungstyp in Authentifizierungsrichtlinien anzugeben. Wenn die Webauthentifizierung aktiviert ist, können sich Ihre Benutzer registrieren und die Webauthentifizierung für die kennwortlose Anmeldung bei Workday in unterstützten Webbrowsern verwenden.

Single Sign-on

Option
Beschreibung
Weitere Informationen
Standardmäßiges delegiertes Authentifizierungssystem (Nicht verwenden)
Erfordert, dass sich Mitarbeiter mit Benutzernamen und Passwörtern anmelden, die in einem externen Identitätsverwaltungssystem gespeichert sind. Mit der Aufgabe
„Workday-Konto bearbeiten“
 können Sie ein alternatives delegiertes Authentifizierungssystem für einzelne Workday-Konten festlegen. Sie können diese Option gleichzeitig mit einem Security Assertion Markup Language (SAML)-System verwenden.
Workday plant, die delegierte Authentifizierung in einer zukünftigen Version einzustellen. Wir empfehlen Ihnen, andere von uns unterstützte Authentifizierungsformen zu verwenden.
Zeitüberschreitung bei delegierter Authentifizierung (Nicht verwenden)
Gibt die Anzahl der Sekunden an, bevor Workday aufgrund einer langsamen Antwort des Webdienstes für die delegierte Authentifizierung den Versuch einstellt, das ausgewählte delegierte Authentifizierungssystem zu verwenden.
Workday plant, die delegierte Authentifizierung in einer zukünftigen Version einzustellen. Wir empfehlen Ihnen, andere von uns unterstützte Authentifizierungsformen zu verwenden.
Umleitungs-URLs
Alternative URLs, auf die Workday verweist, wenn eine bestimmte Aktion stattfindet. Umleitungs-URLs müssen HTTPS verwenden.
  • Der Umleitungstyp
     bestimmt, ob Workday alle Benutzer umleitet an:
    • Der einzelne Satz von Anmeldeumleitungs-URLs, der für diese Aufgabe zur Anmeldung angegeben wurde (
      Einzelne URL
      ).
    • Die Anmeldeumleitungs-URLs für den ausgewählten Authentifizierungsselektor zur Anmeldung und nicht die für diese Aufgabe (
      Authentifizierungsselektor
      ) angegebenen URLs.
  • (Gilt nur für Desktop)
    Die Anmeldeumleitungs-URL
     ist eine alternative URL, auf die verwiesen wird, wenn Mitarbeiter nicht authentifizierte Anmeldeanforderungen stellen. Workday verwendet diese URL anstelle der Workday-Anmeldeseite oder E-Mail-Links, die auf von Workday authentifizierte URLs verweisen.
  • (Gilt für Desktop und Mobilgeräte)
    Die Abmelde-Umleitungs-URL
     ist eine alternative URL, auf die verwiesen wird, wenn Mitarbeiter Workday über den
    Abmeldelink
     für die ausgewählte
    Umgebung
    verlassen.
  • (Gilt für Desktop und Mobilgeräte)
    Die Timeout-Umleitungs-URL
     ist eine alternative URL, auf die verwiesen wird, wenn die Workday-Sitzung eines Mitarbeiters für die ausgewählte
    Umgebung
    abläuft.
  • (Gilt nur für Mobilgeräte)
    Die Umleitungs-URL für die Anmeldung bei der mobilen App
     ist eine alternative URL, auf die verwiesen wird, wenn ein Mitarbeiter versucht, sich für die ausgewählte
    Umgebung
    auf einem Android-Gerät, iPad oder iPhone bei Workday anzumelden.
  • (Gilt nur für Mobilgeräte)
    Die Umleitungs-URL für die Anmeldung im mobilen Browser
     ist eine alternative URL, auf die verwiesen wird, wenn ein Mitarbeiter versucht, sich über einen mobilen Browser für die ausgewählte
    Umgebung
    bei Workday anzumelden.
  • „Nur Vorschau“
     wendet die Umleitungs-URLs nur auf Vorschau-Mandanten an. Sie können
    „Nur Vorschau“
     nicht auswählen, wenn Sie die Produktionsumgebung auswählen.
Sie können für jede Umgebung bis zu 2 Umleitungs-URLs auswählen. Wenn Sie dies tun, müssen Sie 1 als
„Nur Vorschau“
markieren. Workday verwendet die als
„Nur Vorschau“
 markierte URL in Vorschaumandanten und die andere in Produktionsmandanten.
Um die Umleitungs-URLs auf Ihre Mandanten „Sandbox Preview“ oder „Implementation Preview“ anzuwenden, wählen Sie bei der
Umgebungseingabeaufforderung
„Sandbox“
 bzw.
„Implementation“
 aus. Diese Umgebungen gelten auch für die jeweiligen Vorschau-Mandanten.

OAuth 2.0-Einstellungen

Option
Beschreibung
Weitere Informationen
OAuth 2.0-Clients aktiviert
Ermöglicht OAuth 2.0-Clients den Zugriff auf die Workday-API für Ihren Mandanten.

SAML-Einrichtung

So aktivieren Sie:
  • SAML für Ihren Mandanten: Aktivieren Sie das Kontrollkästchen
    SAML-Authentifizierung aktivieren
     .
  • Aktivieren Sie bei der von Workday bereitgestellten Multifaktor-Authentifizierung für SAML in den Authentifizierungsrichtlinien das Kontrollkästchen
    „Native Multifaktor-Authentifizierung aktivieren“
     .
Sie können SAML-Authentifizierung und delegierte Authentifizierung gleichzeitig verwenden.
Konfigurieren Sie Optionen für
jeden
 SAML-IdP für Ihren Mandanten.
Option
Beschreibung
Weitere Informationen
Deaktiviert
Sie können einen IdP deaktivieren, wenn er derzeit einer Authentifizierungsrichtlinie zugewiesen ist. Sie können einen IdP nicht deaktivieren, wenn er verwendet wird.
Name des Identitätsanbieters
Eindeutiger, für Menschen lesbarer Name für den SAML-IdP.
Emittent
Eindeutige Kennung für den SAML-IdP.
Workday validiert einen SAML-Authentifizierungsversuch nur, wenn:
  • Der Aussteller in der eingehenden SAML-Nachricht ist einer dieser konfigurierten Ausstellerwerte.
  • Der Umgebungstyp des Mandanten ist einer der gültigen Umgebungstypen für den SAML-IdP.
x509-Zertifikat
Öffentliches X.509-Zertifikat zum Überprüfen der Signatur bei SAML-Anmelde- und Abmeldeanforderungen.
Vom IdP initiierte Abmeldung aktivieren
Werktag:
  1. Akzeptiert SAML-Abmeldeanforderungen von einem externen IdP.
  2. Meldet einen Mitarbeiter von einer Workday-Sitzung ab.
  3. Sendet eine SAML-Abmeldeantwort an Ihren IdP.
Abmeldeantwort-URL
URL, an die Workday eine erfolgreiche Abmeldeantwort sendet, wenn der IdP die Abmeldung initiiert.
Von Workday initiierte Abmeldung aktivieren
Werktag:
  1. Generiert signierte SAML-Abmeldeanforderungen.
  2. Sendet sie an Ihren IdP.
  3. Leitet die SAML-Abmeldeantwortnachricht um.
Abmeldeanforderungs-URL
URL, an die Workday eine Abmeldeanforderung sendet, wenn es die Abmeldung initiiert.
Nicht angegebenes Namens-ID-Format für Abmeldeanforderungen verwenden
Workday generiert eine SAML-Abmeldeanforderung mit einem nicht angegebenen Namens-ID-Format anstelle von X509SubjectName.
SP-initiiert
Workday verwendet diesen IdP für die SP-initiierte SAML-Authentifizierung in der ausgewählten Umgebung.
Dienstanbieter-ID
Die für den Workday-Mandanten im SAML-IdP-Setup konfigurierte Service Provider (SP)-ID. Es identifiziert Workday als Dienstanbieter in SAML-Nachrichten, die an diesen IdP gesendet werden.
Vom SP initiierte Anfrage signieren
Workday signiert die SAML-Anfragen, die es mit Ihrem öffentlichen SAML-Schlüssel an den SAML-IdP sendet.
Vom SP initiierte Anfrage nicht entwerten
Deaktiviert die Deflate-Komprimierung von SAML-Anfragen, die Workday an einen SAML-IdP-Endpunkt sendet. Workday verwendet beim Senden von SAML-Anfragen automatisch Deflate-Komprimierung und Base64-Kodierung. Bestimmte SAML-IdPs können die SAML-Anforderung nicht analysieren, wenn Workday die SAML-Anforderung mit Deflate komprimiert.
Immer IdP-Authentifizierung erforderlich
(Für SP-initiierte SAML-Authentifizierung) Erfordert, dass der SAML-IdP die Benutzer zu einer erneuten Authentifizierung zwingt, auch wenn eine bestehende IdP-Sitzung besteht. Wählen Sie
„ForceAuthn“ und „RequestedAuthnContext“
 aus, wenn der IdP beide Werte erwartet, um Benutzer zu einer erneuten Authentifizierung zu zwingen.
IdP SSO Service URL
(
SP-initiiert
 ausgewählt) – Die URL, an die Workday während der SP-initiierten SAML-Authentifizierung SAML-Authentifizierungsanforderungen sendet. Füllen Sie dieses Feld für jeden IdP aus, den Workday für die SP-initiierte SAML-Authentifizierung verwendet.
(
SP-Initiiert
 gelöscht) – Die URL, an die Workday SAML-Authentifizierungsanforderungen sendet.
Verwaltetes Geräteattribut
Der IdP gibt ein Attribut als Teil der SAML-Assertion zurück, wenn er so konfiguriert ist, dass er zur Bestimmung des Status verwalteter Geräte einen Anbieter für die Verwaltung mobiler Geräte (MDM) verwendet.  Der Wert, den Sie in dieses Feld eingeben, muss genau mit diesem Attributnamen übereinstimmen. Beispiel: Wenn der IdP in SAML-Assertionen „isWDManagedDev“ als Attribut für verwaltete Geräte zurückgibt, müssen Sie in dieses Feld
„isWDManagedDev“
 eingeben.
Verwendet für Umgebungen
Wenn Sie keine Umgebung auswählen, verwendet Workday für alle Umgebungen denselben IdP.
Um den IdP für die Verwendung in Ihren Mandanten „Sandbox Preview“ oder „Implementation Preview“ zu konfigurieren, wählen Sie bei der Eingabeaufforderung
„Verwendet für Umgebungen“
 jeweils
„Sandbox“
 oder
„Implementierung“
 aus. Diese Umgebungen gelten auch für die jeweiligen Vorschau-Mandanten.
Nur Vorschau
Aktiviert den SAML-IdP für Vorschaumandanten nur für die ausgewählten Umgebungen. Wenn die ausgewählte Umgebung „Produktion“ ist, können Sie
„Nur Vorschau“
nicht auswählen.
  • Wenn Sie für keinen IdP in einer Umgebung
    „Nur Vorschau“
     auswählen, verwendet Workday alle IdPs für diese Umgebung.
  • Wenn Sie
    „Nur Vorschau“
     für einen oder mehrere IdPs in einer Umgebung auswählen, verwendet Workday sie für Vorschaumandanten in dieser Umgebung. Workday verwendet die IdPs, für die das Kontrollkästchen
    „Nur Vorschau“
     für Produktionsmandanten in dieser Umgebung nicht aktiviert ist.
Konfigurieren Sie Optionen für
alle
 SAML-IdPs für Ihren Mandanten.
Option
Beschreibung
Weitere Informationen
x509 Privates Schlüsselpaar
Privates X.509-Schlüsselpaar zur Verwendung mit von SAML IdP und Workday initiierten Abmeldungen.
Bei SAML-IdP-initiierten Abmeldungen verwendet Workday das private X.509-Schlüsselpaar, um die SAML-Abmeldeantwort zu signieren. Bei von Workday initiierten Abmeldungen verwendet Workday das private X.509-Schlüsselpaar, um die SAML-Abmeldeanforderung zu signieren.
Aktivieren Sie Mobile Browser SSO für native Apps
Leitet Benutzer zu einem mobilen Browser weiter, um Single Sign-On (SSO) abzuschließen, wenn sie sich auf Android, iPad und iPhone bei Workday anmelden. Nach erfolgreicher Anmeldung leitet Workday Benutzer zur Workday-App auf ihrem Gerät weiter.
Sie können diese Funktion nicht aktivieren, wenn Sie zertifikatbasiertes SSO aktiviert haben. Wenn Sie diese Funktion aktivieren:
  • Sie können die dynamische oder standardmäßige Zertifikatsfixierung nicht aktivieren.
  • Wenn sich Benutzer von ihrer mobilen Anwendung abmelden, beendet Workday die SSO-Sitzung nicht.
Um die Hardwareauthentifizierung wie YubiKey auf Mobilgeräten zu aktivieren, müssen Sie diese Option auswählen.
Aktivieren Sie Microsoft Edge für die Anmeldung bei nativen mobilen Apps
Leitet Benutzer zum Microsoft Edge-Webbrowser weiter, um Single Sign-On (SSO) abzuschließen, wenn sie sich auf Android, iPad und iPhone bei Workday anmelden. Nach erfolgreicher Anmeldung leitet Workday Benutzer zur Workday-App auf ihrem Gerät weiter.
DOM-Speicher aktivieren
Aktiviert die DOM-Speicherung (Document Object Model), damit Single Sign-On-Konfigurationen (SSO), die für die Verwendung der DOM-Speicherung konfiguriert wurden, ordnungsgemäß funktionieren. Je nach Konfiguration kann DOM Storage durch clientseitige Speicherung die Ladezeiten optimieren.
Zertifikatbasiertes SSO aktivieren
Ermöglicht zertifikatsbasiertes SSO für Workday auf Android, iPad und iPhone.
Aktivieren Sie die dynamische Zertifikatsfixierung
(Für Workday auf Android, iPad und iPhone) Stellt sicher, dass Authentifizierungsanfragen von mobilen Clients an Ihre SSO-Anbieter nur über Hosts erfolgen, die mit den
vertrauenswürdigen Domänenzertifikaten
verknüpft sind.
Die dynamische Zertifikatsfixierung ist für Workday unter Android nur verfügbar, wenn Sie auch zertifikatbasiertes SSO aktivieren.
Vertrauenswürdige Domänenzertifikate
Die vertrauenswürdigen Domänenzertifikate, die Sie in Workday für die dynamische Zertifikatsfixierung speichern.
Wenn Workday versucht, vom mobilen Client aus eine Verbindung zu einem SSO-Anbieter herzustellen, gleicht es das vertrauenswürdige Domänenzertifikat, das Sie für die Domäne des SSO-Anbieters gespeichert haben, mit dem vom Host des SSO-Anbieters vorgelegten Zertifikat ab. Workday ermöglicht die Verbindung nur, wenn die Zertifikate übereinstimmen.
Der mobile Workday-Client lässt Domänennamen zu, für die Workday kein vertrauenswürdiges Domänenzertifikat hat.
Dienstanbieter-ID (wird veraltet sein)
Workday plant, dieses Feld einzustellen. Verwenden Sie stattdessen das Feld
„Dienstanbieter-ID“
 im Raster
„SAML-Identitätsanbieter“
 .
SP-initiierte SAML-Authentifizierung aktivieren (wird veraltet sein)
Workday plant, dieses Feld einzustellen. Verwenden Sie das Feld
„SP-initiiert“
 im Raster
„SAML-Identitätsanbieter“,
 um IdPs für die SP-initiierte SAML-Authentifizierung zu konfigurieren.
IdP SSO-Dienst-URL (wird veraltet sein)
Workday plant, dieses Feld einzustellen. Verwenden Sie stattdessen das Feld
„IdP SSO Service URL“
 im Raster
„SAML Identity Providers“
 .
SP-initiierte Authentifizierungsanforderung signieren (wird veraltet sein)
Workday plant, dieses Feld einzustellen. Verwenden Sie stattdessen das Feld
„SP-initiierte Anforderung signieren“
 im Raster
„SAML-Identitätsanbieter“
 .
Vom SP initiierte Authentifizierungsanforderung nicht ablehnen (wird veraltet sein)
Workday plant, dieses Feld einzustellen. Verwenden Sie stattdessen das Feld
„SP-initiierte Anforderung nicht deflatieren“
 im Raster
„SAML-Identitätsanbieter“
 .
Immer IdP-Authentifizierung erforderlich (wird veraltet sein)
Workday plant, dieses Feld einzustellen. Verwenden Sie stattdessen das Feld
„Immer IdP-Authentifizierung erforderlich“
 im Raster
„SAML-Identitätsanbieter“
 .
Signaturmethode für Authentifizierungsanfragen
(Für SP-initiierte SAML-Authentifizierung) Workday erfordert die Verwendung von SHA256.
Signatur-KeyInfo-Validierung aktivieren
Workday vergleicht die optionale SAML
keyInfo
 Element in eingehenden SAML-Nachrichten mit dem öffentlichen SAML-Schlüssel, den Ihr Mandant speichert. Wenn das Element einen öffentlichen X.509-Schlüssel enthält und:
  • Wenn der öffentliche Schlüssel in
    keyInfo
     mit dem öffentlichen SAML-Schlüssel übereinstimmt, den Workday in Ihrem Mandanten speichert, verarbeitet Workday die Authentifizierungsanforderung.
  • Wenn die Werte nicht übereinstimmen, führt Workday Folgendes aus:
    • Lehnt die Authentifizierungsanforderung ab.
    • Zeigt eine Fehlermeldung im Bericht
      „Anmeldungen und Anmeldeversuche“
       an.
Zusätzlicher negativer Skew (in Minuten)
Zusätzlicher positiver Versatz (in Minuten)
Die Anzahl der Minuten, die zum
NotBefore
/
NotOnOrAfter
 Zeit (die aktuelle Zeit minus/plus der Abweichungszeit) bei der Verarbeitung der Gültigkeit einer SAML-Assertion. Workday erzwingt eine kombinierte Höchstzeit von 3 Minuten in beide Richtungen vom
issueInstant
 der Nachricht und die aktuelle Workday-Serverzeit. Skew ist die Differenz zwischen der Workday-Serverzeit und der Serverzeit Ihres IdP.

OpenID Connect-Einstellungen

So aktivieren Sie:
  • Aktivieren Sie für Ihren Mandanten OpenID Connect und aktivieren Sie das Kontrollkästchen
    OpenID Connect-Authentifizierung aktivieren
     .
  • Aktivieren Sie in den Authentifizierungsrichtlinien der von Workday bereitgestellten Multifaktor-Authentifizierung für OpenID Connect das Kontrollkästchen
    „Native Multifaktor-Authentifizierung aktivieren“
     .
Option
Beschreibung
Weitere Informationen
OpenID Connect-Anbieter
Ermöglicht Ihnen, Verbindungsinformationen für den OpenID Connect-Anbieter zu konfigurieren. Google ist der einzige OpenID Connect-Anbieter, der von Workday unterstützt wird.

Mobile Authentifizierung

Option
Beschreibung
Weitere Informationen
Biometrische Authentifizierung aktivieren
Aktiviert die Fingerabdruck-Authentifizierung für:
  • Diese Android-Geräte unterstützen Biometrie:
    • Google
    • HTC
    • Huawei Nexus 6P
    • LG
    • Motorola
    • Samsung
    • Sony
  • iPad- oder iPhone-Geräte, die Touch ID unterstützen.
Ermöglicht Benutzern mit unterstützten iPhone-Geräten außerdem die Authentifizierung per Face ID. Workday aktiviert automatisch die biometrische Authentifizierung im Mandanten.
Mobile PIN-Authentifizierung aktivieren
Aktiviert die mobile PIN-Authentifizierung für Ihren Mandanten, sodass sich Benutzer mit einer PIN bei Workday für Android, iPad und iPhone anmelden können.
Mindestlänge der PIN
Die Mindestlänge der PIN beträgt 4. Workday füllt das Feld automatisch mit 6.
Maximale PIN-Länge
Die maximale PIN-Länge beträgt 8. Workday füllt das Feld automatisch mit 8.
PIN Max. fehlgeschlagene Anmeldeversuche
Die Anzahl der fehlgeschlagenen Anmeldeversuche mit der mobilen PIN (von 2 bis 5), bevor Workday die PIN löscht. Der Benutzer muss sich dann mit einem anderen Authentifizierungstyp bei Workday anmelden. Workday füllt das Feld automatisch mit 3.
Diese Einstellung betrifft nur die mobile PIN-Authentifizierung. Bei der biometrischen Authentifizierung beträgt die Anzahl der fehlgeschlagenen Anmeldeversuche 3, danach muss sich der Benutzer mit einem anderen Authentifizierungstyp bei Workday anmelden.
Maximales Alter der mobilen Authentifizierung (in Tagen)
Die Anzahl der Tage (von 30 bis 365), bevor die mobile PIN und biometrische Authentifizierung von Workday abläuft. Nach Ablauf muss der Benutzer die PIN zurücksetzen und die biometrische Authentifizierung erneut aktivieren, wenn er diese Funktionen verwendet.

Aufzählung sensibler Daten

Option
Beschreibung
Weitere Informationen
Deaktivieren der Funktion zur Aufzählung vertraulicher Daten
Deaktiviert die Funktion zur Aufzählung vertraulicher Daten für den Mandanten.
Die Funktion zur Aufzählung vertraulicher Daten meldet alle Sitzungen ab und sperrt Benutzerkonten, die innerhalb eines kurzen Zeitraums wiederholt auf diese Gruppen vertraulicher Daten zugreifen:
  • Bankkontonummer.
  • Geburtsort der Person.
  • Geburtsdatum der Person.
  • Person Global Identifier.
  • Steuernummer.
Beispiel: Workday meldet Benutzersitzungen ab und sperrt Benutzerkonten, die von einem bösartigen Skript verwendet werden, das wiederholt auf vertrauliche Datengruppen zugreift.

Vertrauenswürdige Geräte

Option
Beschreibung
Weitere Informationen
Vertrauenswürdige Geräte deaktivieren
Deaktiviert die Funktion „Vertrauenswürdige Geräte“ für den Mandanten. Workday aktiviert automatisch vertrauenswürdige Geräte im Mandanten.
Wenn Sie die Funktion „Vertrauenswürdige Geräte“ deaktivieren, setzt Workday die Vertrauensbeziehung für alle vertrauenswürdigen Geräte im Mandanten zurück.

Einstellungen für die Multifaktor-Authentifizierung

Option
Beschreibung
Weitere Informationen
Maximale Grace-Anmeldungsanzahl
Legt die maximale Anzahl von Anmeldungen fest, die Benutzer vornehmen können, bevor Workday von ihnen verlangt, einen der von Ihnen für sie aktivierten Multifaktor-Authentifizierungstypen zu registrieren. Auf Null setzen, um die Registrierung der Multifaktor-Authentifizierung für alle Benutzer zu erzwingen.
Anbieter für Multi-Faktor-Authentifizierung hinzufügen
Klicken Sie hier, um diese Multifaktor-Authentifizierungsanbieter hinzuzufügen:
  • Authenticator App
  • Backup-Codes
  • Duo
  • Einmalpasswort – E-Mail
  • Einmalpasswort - SMS
Fügen Sie die Authentifizierungs-App hinzu, bevor Sie Sicherungscodes hinzufügen. Workday entfernt diese Schaltfläche aus der Aufgabe, sobald Sie alle Anbieter hinzugefügt haben.
Bearbeiten
 (für den Multifaktor-Authentifizierungsanbieter der Authenticator-App).
Klicken Sie, um den Status des Kontrollkästchens
„Aktiviert“
 zu ändern.
Bearbeiten
 (für den Multifaktor-Authentifizierungsanbieter Backup Codes).
Klicken Sie, um den Status des Kontrollkästchens
„Aktiviert“
 zu ändern und auf diese Einstellung zuzugreifen:
  • Maximale Anzahl von Sicherungscodes
    : Die Anzahl der Sicherungscodes für die Authentifizierungs-App, die Workday dem Benutzer bereitstellt.
Bearbeiten
 (für Duo-Multifaktor-Authentifizierungsanbieter).
Klicken Sie, um den Status des Kontrollkästchens
„Aktiviert“
 zu ändern und auf diese Einstellungen zuzugreifen:
  • Auth-Integrationsschlüssel
  • Geheimer Authentifizierungsschlüssel
  • Admin-Integrationsschlüssel
  • Geheimer Administratorschlüssel
Die von Duo Security bereitgestellten öffentlichen und geheimen Schlüssel zum Schutz der Workday- und Admin-API-Anwendungen für Ihr vertrauenswürdiges Duo-Zugriffskonto. Informationen zum Abrufen dieser Schlüssel und des
API-Hostnamens
finden Sie in der Duo-Dokumentation.
  • Benutzernamenformat
    : Duo vergleicht die Informationen von Workday-Konten, die Sie hier angeben, um Workday-Benutzer im Duo-Dienst zu identifizieren.
Bearbeiten
 (für Einmalpasswort – Anbieter für E-Mail-Multifaktor-Authentifizierung).
Klicken Sie, um den Status des Kontrollkästchens
„Aktiviert“
 zu ändern und auf diese Einstellungen zuzugreifen:
  • Passcode-Timeout (in Minuten)
    : Stellen Sie sicher, dass die Standard-Timeouts für Mandanten- und Einzelbenutzersitzungen mehr als 10 Minuten betragen, wenn Sie diesen Parameter auf 10 Minuten festlegen.
  • E-Mail-Adresse für Passcode
    : Stellen Sie sicher, dass Sie auch E-Mail-Adressen für Benutzer in den Sicherheitsgruppen einrichten, die Sie für
    die Einmalpasswort-E-Mail-
     Multifaktor-Authentifizierung aktivieren. Beispiel: Sie:
    • Wählen Sie hier
      „Nur an private E-Mail senden“ aus
       .
    • Konfigurieren Sie eine Sicherheitsrichtlinie, um für die Sicherheitsgruppen „Leistungsadministrator“ und „Vergütungsadministrator“ eine mehrstufige Authentifizierung
      per Einmalkennung und E-Mail
       zu erfordern.
    Stellen Sie sicher, dass in den Mitarbeiterprofilen der Benutzer dieser Sicherheitsgruppen private E-Mail-Adressen enthalten sind.
Die Einstellung
„E-Mail-Adresse für Passcode“
 ist unabhängig von der Einstellung
„Sicherheits-E-Mails aktivieren“
 . Sie müssen keine Sicherheits-E-Mails aktivieren, damit Ihre Benutzer E-Mails mit Einmalkennwörtern erhalten.
Bearbeiten
 (für Einmalpasswort – SMS-Multifaktor-Authentifizierungsanbieter).
Klicken Sie, um den Status des Kontrollkästchens
„Aktiviert“
 zu ändern und auf diese Einstellungen zuzugreifen:
  • Passcode-Timeout (in Minuten)
    : Stellen Sie sicher, dass die Standard-Timeouts für Mandanten- und Einzelbenutzersitzungen mehr als 10 Minuten betragen, wenn Sie diesen Parameter auf 10 Minuten festlegen.
  • Privates Mobiltelefon für Einmalpasswort zulassen
    : Ermöglicht Benutzern, aus ihren Kontaktinformationen eine Mobiltelefonnummer für die Arbeit oder zu Hause auszuwählen. Sie erhalten dann einen Einmalpasscode für den Zugriff auf Workday über die ausgewählte Mobiltelefonnummer.